Dohoda o spracúvaní osobných údajov

Účinnosť od: 11.9.2026
Verzia: 2.0

Táto Dohoda o spracúvaní osobných údajov je súčasťou zmluvného vzťahu medzi zákazníkom služby ELIA Asistent ako prevádzkovateľom a spoločnosťou ELIA, s.r.o. ako sprostredkovateľom.

1. Zmluvné strany

Sprostredkovateľ:

ELIA, s.r.o.
Hviezdoslavovo námestie 7, 811 02 Bratislava
IČO: 35 878 185
IČ DPH: SK2021791981
Zapísaná v Obchodnom registri Mestského súdu Bratislava III, oddiel: Sro, vložka číslo: 30925/B
E-mail: contact@elia.sk

Prevádzkovateľ:

Zákazník služby ELIA Asistent, ktorý uzatvoril s ELIA, s.r.o. zmluvu, objednávku alebo iný zmluvný vzťah o poskytovaní služby.

2. Účel a právny rámec

Táto dohoda upravuje spracúvanie osobných údajov, ktoré Sprostredkovateľ vykonáva v mene Prevádzkovateľa pri poskytovaní služby ELIA Asistent a súvisiacich implementačných, integračných, podporných a prevádzkových služieb.

Dohoda je uzatvorená podľa čl. 28 Nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (GDPR) a zákona č. 18/2018 Z. z. o ochrane osobných údajov.

Ak sú v zmluve, objednávke alebo osobitnej dohode dohodnuté prísnejšie pravidlá ochrany osobných údajov, použijú sa tieto prísnejšie pravidlá.

3. Predmet, povaha a účel spracúvania

Predmetom spracúvania je poskytovanie, konfigurácia, prevádzka, bezpečnostná ochrana, údržba a podpora služby ELIA Asistent.

Spracúvanie môže zahŕňať najmä:

  • prijímanie, ukladanie a zobrazovanie správ a interakcií z chatového widgetu, e-mailu, WhatsAppu, Telegramu, Microsoft Teams alebo iných kanálov,
  • automatizovanú klasifikáciu, sumarizáciu, smerovanie a generovanie odpovedí,
  • vyhľadávanie v znalostnej báze a používanie údajov na vytváranie odpovedí,
  • správu zákazníckych účtov, oprávnení a používateľov,
  • prepojenie so systémami Prevádzkovateľa, napríklad CRM, kalendármi, e-shopmi alebo rezervačnými systémami,
  • poskytovanie technickej podpory a riešenie incidentov,
  • logovanie, monitoring, zálohovanie, bezpečnostné kontroly a prevádzkovú diagnostiku.

Sprostredkovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa, vrátane pokynov vyplývajúcich zo zmluvy, nastavení služby, používania služby a tejto dohody.

4. Doba spracúvania

Sprostredkovateľ spracúva osobné údaje počas trvania zmluvného vzťahu a následne len počas doby potrebnej na:

  • export alebo vrátenie údajov Prevádzkovateľovi,
  • vymazanie údajov zo služby a záloh,
  • splnenie zákonných povinností,
  • ochranu právnych nárokov,
  • riešenie bezpečnostného incidentu alebo sporu.

Ak nie je dohodnuté inak, Sprostredkovateľ po skončení zmluvného vzťahu umožní Prevádzkovateľovi primeraný export dostupných údajov počas 30 dní a následne začne údaje mazať alebo anonymizovať. Údaje v zálohách môžu byť odstránené neskôr v rámci bežného cyklu obnovy a prepisu záloh, najneskôr však podľa interných retenčných pravidiel a možností použitých poskytovateľov.

5. Kategórie dotknutých osôb

Spracúvanie sa môže týkať najmä:

  • zákazníkov, klientov, návštevníkov webu, používateľov aplikácií a záujemcov Prevádzkovateľa,
  • osôb komunikujúcich s Prevádzkovateľom cez chat, e-mail, sociálne siete, WhatsApp, Telegram, Teams alebo iný kanál,
  • zamestnancov, spolupracovníkov, agentov, obchodníkov a administrátorov Prevádzkovateľa,
  • kontaktných osôb obchodných partnerov Prevádzkovateľa,
  • osôb uvedených v znalostných podkladoch, dokumentoch alebo integráciách poskytnutých Prevádzkovateľom.

6. Kategórie osobných údajov

Rozsah spracúvania závisí od toho, aké údaje Prevádzkovateľ do služby vloží alebo aké kanály a integrácie zapne. Môže ísť najmä o:

  • identifikačné údaje, napríklad meno, priezvisko, používateľské meno, identifikátor zákazníka alebo číslo prípadu,
  • kontaktné údaje, napríklad e-mail, telefón, adresa, komunikačný identifikátor,
  • obsah komunikácie, otázky, odpovede, poznámky, prílohy, históriu konverzácie a spätnú väzbu,
  • technické údaje, napríklad IP adresu, user-agent, časové pečiatky, identifikátory relácie, logy a údaje o doručení,
  • údaje o interakcii, napríklad stav prípadu, prioritu, tagy, kategórie, priradeného agenta a históriu riešenia,
  • údaje z integrovaných systémov, napríklad údaje o objednávke, rezervácii, kalendári, službe alebo zákazníckom profile,
  • účtové údaje používateľov služby, napríklad rola, tenant, oprávnenia a posledné prihlásenie,
  • znalostné podklady, dokumenty a databázové záznamy poskytnuté Prevádzkovateľom.

Služba nie je určená na spracúvanie osobitných kategórií osobných údajov, údajov o trestných veciach, údajov detí alebo iných vysoko citlivých údajov, pokiaľ to nie je výslovne dohodnuté a právne zabezpečené.

7. Povinnosti Prevádzkovateľa

Prevádzkovateľ zodpovedá za:

  • zákonnosť spracúvania osobných údajov,
  • určenie účelov a právnych základov spracúvania,
  • splnenie informačných povinností voči dotknutým osobám,
  • získanie súhlasov, ak sú potrebné,
  • správnosť, primeranosť a minimalizáciu údajov vložených do služby,
  • nastavenie služby a komunikačných kanálov v súlade s právnymi predpismi,
  • informovanie koncových používateľov o automatizovanej komunikácii alebo AI, ak to vyžaduje právo alebo povaha služby,
  • to, aby pokyny dané Sprostredkovateľovi boli zákonné a dostatočne určité.

Prevádzkovateľ nesmie do služby vkladať údaje, na ktorých spracúvanie nemá právny základ alebo ktoré služba podľa zmluvy nie je určená spracúvať.

8. Povinnosti Sprostredkovateľa

Sprostredkovateľ sa zaväzuje:

  • spracúvať osobné údaje len na základe zdokumentovaných pokynov Prevádzkovateľa,
  • bez zbytočného odkladu informovať Prevádzkovateľa, ak sa domnieva, že pokyn porušuje GDPR alebo iné právne predpisy,
  • zabezpečiť, aby osoby oprávnené spracúvať údaje boli viazané mlčanlivosťou alebo zákonnou povinnosťou dôvernosti,
  • prijať primerané technické a organizačné opatrenia podľa čl. 32 GDPR,
  • viesť primerané interné záznamy o spracovateľských činnostiach, ak to vyžaduje GDPR,
  • poskytnúť Prevádzkovateľovi primeranú súčinnosť pri plnení jeho povinností podľa GDPR,
  • nepredávať osobné údaje a nepoužívať ich na vlastné marketingové účely bez samostatného právneho základu,
  • nepoužívať údaje Prevádzkovateľa na tréning základných AI modelov, pokiaľ to nie je výslovne dohodnuté alebo právne dovolené.

9. Subdodávatelia a ďalší sprostredkovatelia

Prevádzkovateľ udeľuje Sprostredkovateľovi všeobecné povolenie zapájať ďalších sprostredkovateľov, ktorí sú potrební na poskytovanie služby.

Sprostredkovateľ zabezpečí, aby každý ďalší sprostredkovateľ bol viazaný zmluvnými povinnosťami ochrany osobných údajov najmenej v rozsahu požadovanom čl. 28 GDPR a aby poskytoval primerané záruky bezpečnosti a zákonnosti spracúvania.

Sprostredkovateľ zodpovedá za plnenie povinností ďalšieho sprostredkovateľa tak, ako to vyžaduje GDPR.

Medzi kategórie subdodávateľov môžu patriť najmä:

  • cloudová infraštruktúra, hosting, databázy, autentifikácia a úložisko,
  • automatizačné a integračné platformy,
  • poskytovatelia AI modelov alebo AI brán,
  • analytika, monitoring, logovanie a bezpečnostné nástroje,
  • komunikační poskytovatelia, napríklad e-mail, SMS, WhatsApp, Telegram, Microsoft Teams alebo telefonické služby,
  • platobné, fakturačné a účtovné služby,
  • nástroje podpory, ticketingu a zákazníckej komunikácie.

Príkladmi používaných alebo voliteľných služieb môžu byť Supabase, n8n, Microsoft Azure, Stripe, PostHog, Google Analytics, Cloudflare, Better Stack, Application Insights, Twilio, Meta, Telegram, Microsoft, Google, OpenRouter alebo iný poskytovateľ AI modelov podľa aktuálnej konfigurácie. Konkrétny zoznam je potrebné udržiavať samostatne a aktualizovať podľa reálne nasadených služieb.

Ak Sprostredkovateľ zapojí nového subdodávateľa, ktorý podstatne mení riziko spracúvania, oznámi to Prevádzkovateľovi primeraným spôsobom. Prevádzkovateľ môže v primeranej lehote namietať zo závažných dôvodov týkajúcich sa ochrany osobných údajov. Ak námietku nemožno vyriešiť prijateľným opatrením, zmluvné strany sa dohodnú na obmedzení dotknutej funkcionality alebo na ukončení príslušného plnenia.

10. Medzinárodné prenosy

Sprostredkovateľ môže spracúvať osobné údaje mimo Európskeho hospodárskeho priestoru len vtedy, ak je zabezpečený platný mechanizmus podľa GDPR, najmä:

  • rozhodnutie Európskej komisie o primeranosti,
  • štandardné zmluvné doložky,
  • záväzné vnútropodnikové pravidlá,
  • výnimka podľa GDPR, ak je použiteľná,
  • iný platný právny mechanizmus.

Ak sa použijú štandardné zmluvné doložky, Sprostredkovateľ a príslušný subdodávateľ prijmú primerané dodatočné opatrenia, ak sú potrebné vzhľadom na povahu údajov a krajinu prenosu.

11. Bezpečnostné opatrenia

Sprostredkovateľ prijíma primerané technické a organizačné opatrenia vrátane:

  • šifrovaného prenosu údajov pomocou TLS,
  • riadenia prístupov, rolí a princípu najmenších oprávnení,
  • oddelenia tenantov a zákazníckych dát,
  • autentifikácie používateľov a správy relácií,
  • logovania bezpečnostne relevantných udalostí,
  • ochrany verejných rozhraní rate limitingom a bezpečnostnými kontrolami,
  • šifrovania alebo bezpečného ukladania tajomstiev a integračných prístupov tam, kde je to technicky dostupné,
  • zálohovania a obnovy podľa možností použitých poskytovateľov,
  • pravidelnej údržby, aktualizácií a odstraňovania známych zraniteľností,
  • obmedzenia prístupu interných osôb len na prípady, keď je to potrebné na poskytovanie služby alebo podpory,
  • postupov na riešenie bezpečnostných incidentov.

Opatrenia môžu byť prispôsobené povahe služby, riziku, rozsahu spracúvania a aktuálnemu stavu techniky.

12. Porušenie ochrany osobných údajov

Sprostredkovateľ oznámi Prevádzkovateľovi porušenie ochrany osobných údajov bez zbytočného odkladu po tom, ako sa o ňom dozvie, spravidla najneskôr do 48 hodín, ak je to vzhľadom na okolnosti možné.

Oznámenie bude obsahovať dostupné informácie potrebné na posúdenie incidentu, najmä:

  • povahu incidentu,
  • kategórie a približný počet dotknutých osôb a záznamov, ak sú známe,
  • pravdepodobné následky,
  • prijaté alebo navrhované opatrenia,
  • kontaktné miesto na riešenie incidentu.

Ak nie sú všetky informácie dostupné naraz, Sprostredkovateľ ich poskytne postupne bez zbytočného odkladu.

13. Súčinnosť pri právach dotknutých osôb

Ak dotknutá osoba uplatní svoje práva priamo u Sprostredkovateľa a zo žiadosti je zrejmé, že sa týka údajov Prevádzkovateľa, Sprostredkovateľ žiadosť bez zbytočného odkladu postúpi Prevádzkovateľovi alebo dotknutú osobu odkáže na Prevádzkovateľa.

Sprostredkovateľ poskytne Prevádzkovateľovi primeranú technickú a organizačnú súčinnosť pri vybavovaní práv dotknutých osôb, najmä pri prístupe, oprave, vymazaní, obmedzení spracúvania, prenosnosti a námietke.

14. DPIA, konzultácie a kontroly

Sprostredkovateľ poskytne Prevádzkovateľovi primeranú súčinnosť pri posúdení vplyvu na ochranu údajov, predchádzajúcej konzultácii s dozorným orgánom a dokazovaní súladu s GDPR, ak je taká súčinnosť potrebná vzhľadom na povahu spracúvania a informácie dostupné Sprostredkovateľovi.

15. Audit a informácie o súlade

Sprostredkovateľ sprístupní Prevádzkovateľovi informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR v primeranom rozsahu.

Prevádzkovateľ môže požiadať o audit spracúvania, najviac raz za 12 mesiacov, ak neexistuje závažný bezpečnostný dôvod na častejší audit. Pred auditom sa zmluvné strany dohodnú na rozsahu, termíne, spôsobe vykonania, bezpečnostných pravidlách, mlčanlivosti a primeranom obmedzení zásahu do prevádzky Sprostredkovateľa.

Sprostredkovateľ môže namiesto priameho auditu najprv poskytnúť primerané dokumenty, vyhlásenia, bezpečnostné opisy alebo výsledky nezávislých kontrol, ak tieto informácie postačujú na overenie súladu. Audítor nesmie byť priamym konkurentom Sprostredkovateľa a musí byť viazaný mlčanlivosťou.

16. Vrátenie a vymazanie údajov

Po skončení poskytovania služby Sprostredkovateľ podľa pokynu Prevádzkovateľa vymaže alebo vráti osobné údaje, ak právne predpisy nevyžadujú ďalšie uchovanie.

Ak Prevádzkovateľ nedá osobitný pokyn, Sprostredkovateľ môže po uplynutí primeranej lehoty na export údaje vymazať alebo anonymizovať. Vymazanie zo záloh môže prebiehať postupne podľa bežného cyklu zálohovania.

17. Poradie dokumentov

Táto dohoda dopĺňa obchodné podmienky, objednávku a zmluvu o poskytovaní služby. V otázkach ochrany osobných údajov má táto dohoda prednosť pred obchodnými podmienkami, ak sú v rozpore.

18. Záverečné ustanovenia

Táto dohoda sa riadi právom Slovenskej republiky. Spory budú riešiť príslušné súdy Slovenskej republiky, ak kogentný právny predpis neustanovuje inak.

Ak sa niektoré ustanovenie ukáže ako neplatné alebo nevymožiteľné, nemá to vplyv na platnosť ostatných ustanovení. Zmluvné strany ho nahradia ustanovením, ktoré sa čo najviac približuje pôvodnému účelu a je v súlade s právom.